Analysé par: Jay Garcia   
 

Trojan-Ransom.Win32.Dcryptor.g (Kaspersky); Trojan-Spy.Win32.Gaxfid (Ikarus)

 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Ransomware

  • Destructif:
    Non

  • Chiffrement:
    Non

  • In the wild::
    Oui

  Overview

Voie d'infection: Fallen gelassen von anderer Malware, Aus dem Internet heruntergeladen


  Détails techniques

File size: 1,450,496 bytes
File type: EXE
Memory resident: Non
Date de réception des premiers échantillons: 23 août 2019
Charge malveillante: Displays message/message boxes, Drops files, Encrypts files

Installation

Schleust die folgenden Dateien ein:

  • %System%\drivers\dcrypt.sys
  • {malware path}\dcapi.dll
  • {malware path}\dccrypt.sys
  • {malware path}\igfxen.exe - detected as PUA.Win32.DiskCrypt.A

Schleust die folgenden Dateien ein und führt sie aus:

  • {malware path}\inst32.exe - if machine is 32bit
    {malware path}\inst64.exe - if machine is 64bit

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances
DefaultInstance = dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Altitude = 87150

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Hotkeys = 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
sysbuild = 846

Fügt die folgenden Dienste hinzu und führt sie aus:

  • dcrypt

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config

  Solutions

Moteur de scan minimum: 9.850
First VSAPI Pattern File: 15.334.05
First VSAPI Pattern Release Date: 30 août 2019
VSAPI OPR Pattern Version: 15.335.00
VSAPI OPR Pattern Release Date: 31 août 2019

Step 2

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 4

Restore your system's Master Boot Record (MBR)

To restore your system's Master Boot Record (MBR):

• On Windows 7 and Server 2008 (R2):

  1. Insert your Windows Installation DVD into the DVD drive, then press the restart button on your computer.
  2. When prompted, press any key to boot from the DVD.
  3. Depending on your Windows Installation DVD, you might be required to choose the installation language. On the Install Windows window, choose your language, locale, and keyboard layout or input method. Click Repair your computer.
  4. Select Use recovery tools that can help fix problems starting Windows. Select your installation of Windows. Click Next.
  5. If the Startup Repair window appears, click Cancel, Yes, then Finish.
  6. In the System Recovery Options menu, click Command Prompt.
  7. In the Command Prompt window, type the following then press Enter:
    BootRec.exe /fixmbr
  8. Type exit and press Enter to close the Command Prompt window.
  9. Click Restart to restart your computer normally.

• On Windows 8, 8.1, 10, and Server 2012:

  1. Insert your Windows Installation DVD in the DVD drive, then restart your computer.
  2. When prompted, press any key to boot from the DVD.
  3. Depending on your Windows Installation DVD, you might be required to select the keyboard layout. Then on the Windows Setup window, choose your language, locale, and input method. Click Next, then click Repair your computer.
  4. Click Troubleshoot>Advanced Options>Command Prompt.
  5. In the Command Prompt window, type the following then press Enter:
    BootRec.exe /fixmbr
  6. Type exit and press Enter to close the Command Prompt window.
  7. Click Continue to restart the system normally.

Step 5

Im abgesicherten Modus neu starten

[ learnMore ]

Step 6

Diesen Registrierungsschlüssel löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\dcrypt
    • Instances
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\dcrypt
    • config

Step 7

Diese Datei suchen und löschen

[ learnMore ]
Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.
  • %System%\drivers\dcrypt.sys
  • {malware path}\dcapi.dll
  • {malware path}\dccrypt.sys
  • {malware path}\igfxen.exe
  • {malware path}\inst32.exe - if machine is 32bit
  • {malware path}\inst64.exe - if machine is 64bit

Step 8

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Ransom.Win32.MCRYPT.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participez à notre enquête!